PHPの脆弱性への対応を、中小企業は今すぐ始めてほしい。Webサイトの7割ほどで使われる言語に穴が見つかり、WordPressのサイトも対象になる。元警察官でシステム会社を経営する私が、Claude Codeでの確認、ベンダーへの聞き方、AIで毎日守る仕組みまで整理した。自社サイトを持つ経営者・担当者向け。
PHPの脆弱性が見つかったと聞いたとき、最初はよくある話だと思っていた。ところが調べるほど、これは本当にまずいと感じるようになった。
政府が発表するほどの騒ぎになり、チャットワークをはじめ、名前を聞けば誰でも分かるサービスがいくつも止まっていた。ほとんどのサービスがPHPで動いているのだから、影響が大きいのは当然だ。
私はシステム開発の会社を経営している。その目で見ても、今回は規模が違う。そして、AIを触っている会社と触っていない会社の差が、ここからはっきり開くと思っている。
この記事の要点
結論から言うと、自社にも関係がある前提で動いたほうがいい。
PHPは、たくさんあるプログラミング言語の一つだ。昔はJavaがよく使われていたが、書きやすい、分かりやすいという理由でPHPが広がった。Laravelという仕組みを使って開発する人も多かった。
Pythonが出てきてからは、少し下り坂ではあった。それでも、私の認識では今あるWebサイトの7割ほどでPHPが使われている。多くの会社が使っているWordPressも、中で動いているのはPHPだ。
今回の脆弱性は、PHPのコードそのものにある。だから、WordPressで作ったサイトも、PHPで組んだサービスも、まとめて対象になる。世界中のサイトの7割が対象になりうる穴が見つかった、ということだ。
これは私の見立てだが、今回の穴はAIによって見つかったのだと思っている。AIのおかげと言うべきか、AIのせいと言うべきかは分からない。人の目では届かなかったところまで、AIが掘り当てる時代になったと感じている。
大手は、すぐに対応しないとまずい立場にある。だから、すでに動いていたはずだ。心配なのは中小企業のほうで、多くはまだ手を打てていないと私は見ている。
自社のサイトが何の言語で作られているかを、そもそも知らない会社も多いと思う。そこが一番引っかかっている。
AIで開発している会社は、今回は比較的落ち着いていられると思う。
Claude Codeに「作って」と頼むと、PHPはあまり使われない。TypeScriptやPythonが中心になる。PHPで作ってと指定すれば作ってくれるが、わざわざそう頼む場面は少ない。
私自身も、普段はほとんどPythonを使っている。うちの会社でも、PHPで作ったものはあまりなかった。正直、これは本当に良かったと思っている。
AIで作ったシステムが、PHPを使っていることはそこまで多くないはずだ。差が開くと思うのは、ここだ。AIで作ってきた会社は、今回の影響が比較的小さい。人の手で作ったまま置いてある会社ほど、影響をまともに受ける。
危ないのは、人の手でシステムを組んできた会社だ。
昔と言っても、ここ1、2年のうちに人の手で組んだものも含まれる。中でも軒並み危ないのが、ホームページ関係だ。
WordPressは多くの会社が使っている。そのWordPressで作られたサイトの多くに、脆弱性があると検知されてしまっているらしい。
次に当てはまる会社は、特に注意してほしい。
WordPressを使うこと自体が、もう危ない選択になりつつある。これは2、3か月前から言われていたことだが、今回それが現実になった。
今すぐやってほしいのは、Claude Codeで自社サイトを調べることだ。
やり方は難しくない。Claude Codeに自社サイトのドメインを入れて、「PHPで作っているが、この脆弱性は大丈夫そうか」と聞いてみる。まずはこれだけでも悪くないと思う。
PHPを使っているかどうか分からなければ、システムを作った会社に聞けばいい。確認の順番はこうだ。
ベンダーの動きが遅いときこそ、先に自分で調べておく意味がある。「これは危なそうだ」と出たら、その結果を持ってすぐ対応を頼めばいい。
もし「それは大丈夫ですよ」と軽く流されたら、ベンダーを変えることも考えたほうがいいと思う。
うちの会社に頼んでもらってもかまわない。どこに頼むにしても、急いで対応する必要があることだけは伝えておきたい。
手を打たなかったらどうなるか。私も調べたが、正直よく分からない部分もある。聞いた話では、サーバーに入り込まれ、コードの中に攻撃用のコードを埋め込まれるらしい。
厄介なのは、そのコードが自動ドアのように動くことだ。入りたいときだけ開いて、それ以外は閉まっている。そこまでできるのかと驚いた。
こうなると、気づかないうちに情報がすり抜けていく。だから、対応は早ければ早いほどいい。
今回はPHPだったが、次がどこで起きるかは誰にも分からない。
PythonやTypeScriptで同じことが起きないとは言えない。何で脆弱性が出るか、正直もう読めない状況になっている。だから大事なのは、出たときにどれだけ速く対処できるかだ。
私はもともと埼玉県警にいた。中にいたから分かるが、セキュリティはとても固い。そもそもWi-Fiが使えず、ネットワークにもあまり繋がっていない。
それでも、埼玉県警で情報漏洩が起きている。多くの会社はネットワークに繋がり、Wi-Fiの中で仕事をしている。それを遮断している所ですら漏れるのだから、防ぎようがないと言っていい。
では、従来のセキュリティ会社に頼めばいいのか。私は、多分対応しきれないと思っている。しっかりやっているはずの大きな会社ですら、すでに漏れているからだ。
AIを使った攻撃は、数の打ち方からして違う。今までのサイバー対策をそのまま続けても、あまり意味がないと正直思っている。
全部を防ぐのは無理だ。攻撃されたら対応する、を繰り返していくしかない。漏れないようになるべく備え、漏れても最小限で止める。そのための対応スピードが、これからの勝負になる。
これからは、データを守り切ることが会社の大きな仕事になる。
先日、会社の食事の席でも、ちょうどその話になった。会社がデータをあまり外に出さない世界になるのではないか、という話だ。
AIに読み込ませている範囲はいい。それ以外の、社内で囲っているデータの守りをしっかりやらないと危ない。ローカルでデータを持っておくことも、改めて大事になると感じている。
多くの会社はいま、AIで便利にしようと攻めている。ただ、守るほうもちゃんとやらないと、大変な事態になるのは容易に想像がつく。
情報を取りたい人にとっては、大きなサービスを狙うほうが割に合う。一度にたくさんのデータが取れて、お金にもなるからだ。
WordPressやShopifyのような仕組みでも、脆弱性が出たり情報が漏れたりする機会は、これから増えていくと思う。個人の情報を預かるサービスほど、その備えが重要になる。
逆に言えば、Claude Codeでシステムが作りやすくなった今、社内のシステムを自社で作ることが守りに繋がるかもしれない。SaaSは便利だが、会社の資産は会社で守る。そういう時代になりつつあると考えている。
守りは、ツールを買うことより毎日回す運用で決まる。
自動化に興味があるなら、脆弱性診断を毎日回す仕組みを作ってほしい。1日1回の診断でもいいし、AIにサーバーのログを取らせるだけでもいい。それだけで、いざというときの対処が変わると思う。
私たちも、サーバーのログを取っている。脆弱性はないか、侵入してきているものはないか、攻撃されていないか。こうした確認は、やはり欠かせないと改めて思った。
私が考えている形は、次のとおりだ。
こうしてAIと一緒に回すと、経験の浅いセキュリティ担当者に聞くより、いい答えが返ってくることも多い。優しく教えてくれるし、費用の面でも割に合う。
慌ててセキュリティ会社にすぐ連絡すると、かなりの金額を取られると思う。その前に、自分でまず守って対策する。それができる時代になっている。
AIは使う。これは変わらない。ただ、攻めの使い方と守りの使い方は、2つの軸に分けて考えてほしい。
攻めだけに偏ると、危ない時代になっている。システムを作るときも、Mac miniで自動化するときも、守りの仕組みを一緒に組み込む。それが、これからの普通になると率直に思っている。
自分で守るには、Claude CodeやCodexを使って、自分で開発できることが前提になる。独学でもいいが、分からないことがあれば頼ってほしい。
AI駆動研究所では、企業向けの研修を行っている。今回の内容に近いものを挙げる。
個人で学びたい人には、AI駆動開発育成所もある。
自社サイトがPHPで作られているか分からない、ベンダーの返事が遅くて不安だ、という段階でもかまわない。まずは無料相談から気軽に連絡してほしい。
この内容は動画でも話しています: https://youtu.be/7-swi1sqn3A
オフショア開発は、この1年半でAIによってほぼ壊滅した。ベトナムで4年間開発をしてきた立場から、単価や為替だけでは語れない現場の変化と、機械より先に必要になる人材の話を書いた。海外への開発委託を続けるか迷う経営者・担当者に向けて。
米国と中国のAI競争を、2026年9月21日時点で整理します。争っているものを計算資源・モデル・データ・人材・ルールの5つに分け、規制すれば応える往復の型を見て、日本の会社の仕事に届く3つ（道具と価格、データの置き場、突然の規制）と構え方3つに絞ります。半年で変わる前提の、日付つきの中間報告です。
ChatGPT以前からAIを研究していたという肩書きの研修が増えています。しかし研究と活用は別物です。車を作れる人が運転を教えられるとは限りません。経歴ではなく実績で見極める基準を具体的に解説します。